Ernstig beveiligingslek in Microsoft SharePoint wordt misbruikt
Het Nationaal Cyber Security Centrum (NCSC), Microsoft en het Amerikaanse cyberagentschap CISA slaan alarm: er wordt actief misbruik gemaakt van een kritieke kwetsbaarheid in Microsoft SharePoint. Dit lek, aangeduid als CVE-2025-53770, stelt aanvallers in staat om zonder authenticatie op afstand de controle over kwetsbare servers over te nemen.
Microsoft heeft sneel gehandeld en noodpatches uitgebracht voor SharePoint Server 2019 en SharePoint Server Subscription Edition.
Wat is er aan de hand?
De kwetsbaarheid CVE-2025-53770 maakt “remote code execution” mogelijk, wat betekent dat aanvallers op afstand kwaadaardige code kunnen uitvoeren op de server. Microsoft waarschuwde op 19 juli al dat er aanvallen plaatsvonden op on-premises SharePoint-servers. Deze aanvallen maakten gebruik van kwetsbaarheden die deels waren verholpen met eerdere updates in juli (CVE-2025-49704 en CVE-2025-49706).
Nu heeft Microsoft twee nieuwe SharePoint-updates uitgebracht (CVE-2025-53770 en CVE-2025-53771) die een “robuustere bescherming” moeten bieden dan de voorgaande updates.
Hoewel Microsoft spreekt over het misbruik van meerdere kwetsbaarheden, geven de beveiligingsbulletins aan dat momenteel alleen CVE-2025-53770 actief wordt misbruikt. Belangrijk is dat deze aanvallen al plaatsvonden voordat de updates beschikbaar waren, wat de urgentie van de situatie benadrukt.
De ernst van de kwetsbaarheid is extreem hoog, met een score van 9.8 op een schaal van 10. Meerdere collega bedrijven melden dat er al sprake is van grootschalig misbruik van dit SharePoint-lek, waarbij wereldwijd tientallen SharePoint-servers zijn gecompromitteerd. En aangezien SharePoint vaak verbinding maakt met andere cruciale diensten, zoals Outlook, Teams en OneDrive is deze dreiging veel breder dan je in eerste instantie zult vermoeden.
Wat moeten organisaties nu doen?
Organisaties die gebruikmaken van Microsoft SharePoint worden dringend opgeroepen om de door Microsoft beschikbaar gestelde updates onmiddellijk te installeren. Dit is cruciaal om uw systemen te beveiligen tegen potentieel verwoestende aanvallen.
Aanwijzingen voor aanval op NetScaler-apparaten via kwetsbaarheid CVE-2025-5777
NetScaler heeft een aantal Indicators of Compromise (IoC’s) gedeeld die kunnen duiden op een aanval op hun apparaten via de kwetsbaarheid CVE-2025-5777. Beheerders worden geadviseerd om hun logbestanden te controleren op specifieke patronen.
Waar moet u op letten in de logbestanden?
U moet in de logbestanden zoeken naar regels die zowel de tekst “Authentication is rejected for” als “AAA Message” bevatten. Als in dezelfde logregel ook niet-ASCII-tekens (tekens in het bereik 128-255) aanwezig zijn, kan dit volgens NetScaler wijzen op een poging om CVE-2025-5777 te misbruiken.
Aanwijzingen met betrekking tot IP-adressen
NetScaler raadt beheerders ook aan om de client-IP-adressen van sessies goed in de gaten te houden. Als het client-IP-adres verandert gedurende een sessie, kan dit duiden op een “session-hijack”. NetScaler waarschuwt echter dat dit ook kan voorkomen wanneer een gebruiker vanaf meerdere locaties is ingelogd, bijvoorbeeld vanaf zowel een kantoor- als een thuisnetwerk. Het is dus belangrijk om deze aanwijzingen in de juiste context te beoordelen.
Kritieke kwetsbaarheden in Cisco Identity Services Engine (ISE)
Cisco heeft een dringende waarschuwing uitgegeven voor meerdere kritieke kwetsbaarheden in zowel Cisco Identity Services Engine (ISE) als Cisco ISE Passive Identity Connector (ISE-PIC). Deze lekken zijn uiterst ernstig, omdat ze kwaadwillenden de mogelijkheid bieden om als root commando’s op de systemen uit te voeren. Dit betekent dat aanvallers volledige controle over uw systemen kunnen krijgen.
Het gaat om de specifieke kwetsbaarheden CVE-2025-20281, CVE-2025-20337 en CVE-2025-20282.
Welke versies zijn kwetsbaar?
De eerste twee genoemde kwetsbaarheden, CVE-2025-20281 en CVE-2025-20337, treffen de Cisco ISE en ISE-PIC releases 3.3 en 3.4, ongeacht hoe deze zijn geconfigureerd. Oudere versies van deze software zijn gelukkig niet kwetsbaar.
De kwetsbaarheid CVE-2025-20282 is uitsluitend aanwezig in Cisco ISE en ISE-PIC Release 3.4, waarbij ook hier elke configuratie kwetsbaar is.
Wat moet u doen?
Cisco adviseert de volgende updateprocedures om uw systemen te beveiligen:
Als Cisco ISE draait op Release 3.4 Patch 2, hoeft u geen verdere actie te ondernemen. Uw systeem is dan al beschermd.
Als Cisco ISE op Release 3.3 Patch 6 draait, zijn er aanvullende fixes beschikbaar in Release 3.3 Patch 7. Het is cruciaal om naar deze patch te updaten.
Als Cisco ISE is voorzien van hot patch ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz of hot patch ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz, dan adviseert Cisco dringend om te updaten naar Release 3.3 Patch 7 of Release 3.4 Patch 2. Dit komt doordat kwetsbaarheid CVE-2025-20337 in deze hot patches niet is verholpen, waardoor uw systemen nog steeds kwetsbaar zijn.
Het is van het grootste belang dat organisaties deze updates onmiddellijk uitvoeren om het risico op ongeautoriseerde toegang en systeemovername te minimaliseren. Controleer uw huidige versies en patchniveaus om ervoor te zorgen dat uw Cisco ISE- en ISE-PIC-installaties veilig zijn.
Lees er meer op over https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6
